Web 渗透实战：服务器系统识别、端口与中间件全量探测

Web 渗透实战：服务器系统识别、端口与中间件全量探测

• • 前言
  • 1. 根据 TTL 判断服务器操作系统
  • • 1.1 判断原理
    • 1.2 主流系统默认初始 TTL 对照表
    • 1.3 ping 实操判断
    • 1.4 识别误区与注意事项
  • 2. 真实IP地址收集
  • • 2.1 多地区Ping判断CDN
    • 2.2 绕过CDN获取真实IP
    • • 2.2.1 查询子域名的IP
      • 2.2.2 MX记录邮件服务
      • 2.2.3 查询历史DNS记录
      • 2.2.4 国外访问
    • 2.3 同C段旁站资产探测
    • • 2.3.1 C段范围计算
      • 2.3.2 工具介绍：御剑高速 TCP 端口扫描工具
      • 2.3.3 实战：Vulhub 靶机C段扫描
      • 2.3.4 旁站识别方法
      • 2.3.5 注意事项与误区
  • 3. 端口信息收集
  • • 3.1 端口扫描基础概念
    • • 3.1.1 核心原理
      • 3.1.2 端口状态分类
      • 3.1.3 端口扫描能获取的关键信息
    • 3.2 主流扫描工具：Nmap
    • • 3.2.1 工具下载与安装
      • 3.2.2 图形界面 Zenmap 介绍
      • 3.2.3 常用扫描模板
      • 3.2.4 实战：Vulhub 靶机深度扫描
      • 3.2.5 扫描结果深度分析
      • 3.2.6 进阶：自定义扫描命令
      • 3.2.7 小结
  • 总结

前言

上一篇我们聊完了站点层面的信息收集 —— 指纹识别摸清了目标用了什么技术栈，目录扫描挖出了隐藏路径和接口，被动插件补充了更多细节。到这里，我们对 “网站长什么样” 已经有了比较清晰的认识。

但渗透测试的信息收集远不止于此。知道了应用层的信息，我们还得往下挖一层：这个网站跑在什么样的服务器上？

是 Windows 还是 Linux？开了哪些端口？跑着什么服务？中间件具体是什么版本？这些信息看似基础，却直接决定了后续漏洞利用的方向 —— 比如你知道了目标是 Nginx 某个存在解析漏洞的版本，就能直接对症下药；知道了服务器开了 3389 端口，那 RDP 爆破就可以安排上了。

这一篇，我们继续基于 Vulhub 本地靶场实操，从操作系统识别、端口扫描、中间件探测三个维度，把服务器层面的信息收集彻底讲透。

⚠️ 合规强制提醒：仅允许在自有本地靶场、已获取书面授权的服务器执行端口探测；对公网无授权主机扫描、爆破端口，违反《网络安全法》，存在法律风险。

1. 根据 TTL 判断服务器操作系统

1.1 判断原理

TTL（Time To Live，生存时间）是 IP 数据包中的一个字段，表示数据包在网络中最多能经过多少个路由器转发。每经过一台路由器，TTL 数值自动减 1，减到 0 时数据包会被丢弃，防止数据包在网络中无限循环。

不同操作系统出厂时预设的初始 TTL 值是固定的，我们通过 ping 命令获取返回包的 TTL，结合路由跳数就能反向推断服务器的操作系统类型。

1.2 主流系统默认初始 TTL 对照表

判断逻辑：

• 本地靶场 / 同网段：无跨网段路由跳转，返回 TTL 等于初始值，直接对应系统
• 公网环境：TTL 会有小幅衰减，差值在 10~30 跳内仍可判定为对应系统
  • 返回 TTL 在 55~64 之间 → Linux
  • 返回 TTL 在 100~128 之间 → Windows
  • 返回 TTL 在 230~255 之间 → Unix / 网络设备

1.3 ping 实操判断

打开终端，执行 ping 命令：

ping 192.168.200.131

返回结果：

返回 TTL = 64，匹配 Linux 预设初始值，可直接判定靶场服务器为 Linux 系统。

Windows 靶场对比示例：

ping 192.168.0.100

返回 TTL = 128，匹配 Windows 预设初始值，判定为 Windows 服务器。

1.4 识别误区与注意事项

2. 真实IP地址收集

2.1 多地区Ping判断CDN

工具：站长工具https://ping.chinaz.com/ 操作：输入目标域名，全国多节点同时解析，对比返回IP

首先测试第一个域名csdn.net

• 图1/图2：csdn.net 所有地区节点统一返回同一IP，IP固定无多节点分流，**无公共CDN/自有BGP静态节点**，解析IP即为服务器真实IP

测试第二个域名baidu.com

• 图3/图4：baidu.com 多地Ping返回多个不同归属地IP，节点分散，**确认部署CDN**，返回的均为CDN节点IP而非源站真实IP

判断结论：多地解析出现多个不同IP = 存在CDN；全部节点返回同一个IP = 无公共CDN，解析IP大概率为真实服务器IP

2.2 绕过CDN获取真实IP

2.2.1 查询子域名的IP

原理：CDN流量收费高，很多站长只会给主站或流量大的子站点开CDN，小站点、测试站、后台站一般不做CDN，而且这些子域名跟主站常在同一台服务器或同一个C段内。

操作步骤：

工具：

• 子域名爆破：Subfinder、OneForAll
• 批量IP查询：站长工具 ip.tool.chinaz.com/ipbatch

示例：百度域名查询

• 主域名 www.baidu.com → 走CDN，多地ping返回不同IP
• 子域名 xxx.baidu.com → 可能没走CDN，返回固定IP
• 这个子域名的IP很可能就是百度服务器的真实源站IP

2.2.2 MX记录邮件服务

适用条件：网站自己搭建邮件服务器，且邮件服务和Web服务在同一台服务器上

操作步骤：

原理：如果网站在与web相同的服务器和IP上托管自己的邮件服务器，那么原始服务器IP会出现在邮件头中，且邮件流量不走CDN。

示例：QQ邮箱查找IP 打开收到的邮件 —>点击"更多操作"—>选择"显示邮件原文"—>在邮件头中查找IP信息

2.2.3 查询历史DNS记录

原理：网站不是一上线就接CDN的，接入CDN之前域名直接解析到源站IP，这些历史解析记录有平台存档。

工具：ip138、微步在线、SecurityTrails

判断方法：出现时间早、长期稳定不变的IP地址，更可能是真实源站IP。

示例：IP138查询网站

找CDN上线前长期使用的那个IP，大概率就是真实源站

例如这里当前解析和历史解析都是一样的ip，那么大概率就是原始IP

2.2.4 国外访问

原理：有些网站的CDN只覆盖国内节点，没有部署国外节点，国外访问会直接回源到真实服务器。

方法：用国外节点ping目标域名

工具：https://ping.sx/ping

示例：国外访问网站

2.3 同C段旁站资产探测

原理：同一台服务器或同一机房内网环境中，往往部署了多个网站或业务系统，它们共享同一个C类网段（如 192.168.200.x）。通过扫描目标IP所在C段的全部存活主机，可以发现旁站、备用系统、测试环境等关联资产，扩大攻击面。

核心价值：主站防护严密时，旁站往往存在漏洞，可通过旁站横向渗透获取同服务器权限，进而拿下主站。

2.3.1 C段范围计算

判断方法：取目标IP前三段，第四段替换为 0/24，即为完整C段范围。

示例：

• 目标IP：192.168.200.131
• 对应C段：192.168.200.0/24
• 扫描范围：192.168.200.1 ~ 192.168.200.254，共254个主机位

快速记忆：C段 = IP前三段不变，最后一段从1扫到254

2.3.2 工具介绍：御剑高速 TCP 端口扫描工具

御剑端口扫描工具是 Windows 平台常用的 C 段扫描工具，支持批量端口探测，速度快、操作简单，适合内网旁站快速排查。

界面功能说明：

2.3.3 实战：Vulhub 靶机C段扫描

以目标 192.168.200.131 为例，演示完整 C 段扫描流程：

步骤一：填写扫描范围

• 开始 IP：192.168.200.1
• 结束 IP：192.168.200.254

步骤二：选择扫描模式

• 日常快速排查：勾选【指定端口】，使用默认端口列表
• 全面资产探测：勾选【全端口 65535】，耗时较长但无遗漏

步骤三：调整参数（可选）

• 内网环境：超时设为 1 秒，缓冲区保持默认
• 公网环境：超时设为 2-3 秒，避免漏报

步骤四：开始扫描 点击【扫描】按钮，底部状态栏实时显示：

• 速度 / 每秒：当前扫描速率
• 完成进度：已扫描 IP 占比
• 扫描耗时：已用时间
• 扫描结果：已发现的开放端口数量

步骤五：查看结果 扫描完成后，在【开放端口】区域查看所有存活主机及其开放端口，逐一排查旁站业务。 结果解读：

扫描效率说明：指定端口模式下，扫完整个 C 段仅需 2 秒左右，适合快速资产探测；全端口模式耗时较长，适合深度排查。

2.3.4 旁站识别方法

发现同C段存活IP后，判断是否为旁站的三种方法：

方法一：HTTP 访问验证 直接在浏览器访问存活IP的80/443端口，查看网站内容是否与目标站点相关。

方法二：反向IP查询 使用站长工具、微步在线等平台，查询IP对应的绑定域名，判断是否为同一公司/组织的业务。

方法三：端口服务对比 对存活IP进行端口扫描，对比开放端口与服务版本，判断是否为同一套环境模板。

2.3.5 注意事项与误区

本章所有演示均基于本地 Vulhub 靶场环境，仅限安全研究与学习使用，请勿用于未授权的真实环境测试。

3. 端口信息收集

完成站点应用层信息收集后，需要下沉至服务器基础设施层，通过端口扫描获取主机开放服务、操作系统、中间件真实版本等底层信息。

3.1 端口扫描基础概念

3.1.1 核心原理

基于TCP/UDP协议，向目标主机不同端口发送探测数据包，根据主机返回报文判断端口状态，进一步识别端口上运行的服务程序、版本、漏洞特征。

渗透测试高频常用端口对照表

（1）Web类端口（网站服务，渗透核心入口）

Web 端口是渗透测试的首要目标，数量多、漏洞类型丰富，建议先扫出所有 Web 端口，再结合上一章的指纹识别和目录扫描逐个深入测试。非常规端口（如 8090、9000）往往是管理后台，容易被忽略但价值很高。

（2）远程管理类端口（可直接登录服务器，高危）

远程管理端口是"直通服务器"的高危入口，一旦拿到账号密码可以直接控制整台服务器，是渗透测试的高价值目标。弱口令是最常见的突破口，很多测试环境和开发服务器为了方便会使用 root/123456、admin/admin 这类简单密码。

（3）数据库端口（窃取全站数据，高价值）

数据库端口是数据泄露的重灾区，拿到数据库权限基本等于拿下全站数据。其中 Redis、MongoDB、Memcached 这几款服务默认安装经常没有设置密码，未授权访问问题非常普遍，遇到了优先测试。

（4）文件传输&共享端口

文件传输和共享端口常被管理员忽视，匿名登录、弱口令、共享权限配置不当都可能导致源码泄露或直接上传后门文件。445 端口的 SMB 服务更是内网渗透的"明星端口"，永恒之蓝等经典漏洞至今仍能在很多内网机器上打通。

（5）中间件/消息队列高危端口

中间件和消息队列端口近年爆出大量 RCE（远程代码执行）漏洞，而且很多企业对内网服务缺乏防护意识，往往不设密码或使用默认密码，是内网渗透的重要突破口。遇到不熟悉的端口，先查一下对应服务有没有公开 CVE。

（6）运维面板、监控服务端口

运维面板和监控服务通常权限很高，一旦被攻破可以直接管理服务器或读取大量敏感日志。这类服务很多是管理员临时搭的，密码设置简单、版本更新不及时，弱口令和未授权访问是最常见的问题。

（7）内网探测辅助端口（信息收集）

这类端口虽然不能直接拿权限，但能收集大量内网资产和配置信息，是内网信息收集和横向移动的重要辅助。比如 SNMP 可能直接吐出服务器的完整进程列表和用户信息，LDAP 可以枚举整个域的所有账号。

端口扫描实操建议

3.1.2 端口状态分类

3.1.3 端口扫描能获取的关键信息

3.2 主流扫描工具：Nmap

Nmap（Network Mapper）是行业标准的端口扫描工具，广泛应用于网络安全审计、渗透测试与资产探测。它支持主机存活探测、端口扫描、服务版本识别、操作系统指纹识别、漏洞脚本扫描等核心功能，是渗透测试信息收集阶段的必备工具。

本章节统一使用本地 Vulhub 靶机演示，目标 IP：192.168.200.131。

3.2.1 工具下载与安装

官方下载地址：https://nmap.org/

Nmap 提供全平台支持，各系统安装方式如下：

注意：Windows 版安装时会自动安装 Npcap 抓包驱动，这是 Nmap 正常工作的底层依赖。若安装后扫描无响应，需确认 Npcap 驱动正常运行。

3.2.2 图形界面 Zenmap 介绍

Zenmap 是 Nmap 官方的图形化前端，将常用扫描功能封装为可视化模板，适合初学者快速上手。

界面布局

界面主要分为三个区域：

1. 顶部参数区

• Target：目标输入框，支持单个 IP、网段、域名
• Profile：扫描模板下拉框，内置多种预设扫描策略
• Command：自动生成的 Nmap 命令，可手动编辑
• Scan / Cancel：开始 / 终止扫描按钮

2. 左侧主机列表

• 显示已扫描的目标主机
• 绿色圆点表示主机存活

3.标签页

下拉框里全部是官方提前写好的固定扫描参数方案，只能直接选用，不能在这里修改参数。

3.2.3 常用扫描模板

Zenmap 内置多种扫描模板，对应不同的 Nmap 参数组合：

核心参数说明：

• -T4：扫描速度档位（T1 最慢最隐蔽，T5 最快最容易被检测）
• -A：综合扫描，包含操作系统识别、版本探测、路由追踪、默认脚本扫描
• -v：详细输出模式，实时显示扫描进度
• -sn：仅 ping 扫描，跳过端口探测
• -Pn：跳过主机存活检测，直接扫描端口

3.2.4 实战：Vulhub 靶机深度扫描

以 Vulhub ThinkPHP 靶机为例，演示完整扫描流程。

步骤一：配置扫描参数

在 Target 输入目标 IP，Profile 选择 Intense scan（深度扫描）：

点击 Scan 按钮开始扫描。

步骤二：查看扫描日志

扫描过程中切换到 Nmap Output 标签，可实时查看扫描进度：

日志输出包含：

• 主机存活检测结果
• 端口扫描进度
• 服务版本探测
• HTTP 指纹识别
• 脚本扫描结果
• 最终统计信息

步骤三：查看端口结果

扫描完成后切换到 Ports / Hosts 标签，查看结构化端口列表：

扫描结果整理如下：

结果解读：

• 22 端口 SSH：可尝试弱口令爆破或密钥泄露攻击
• 80 端口 HTTP：Apache 默认页面，可进一步目录扫描
• 8080 端口 HTTP：ThinkPHP 漏洞靶场主页面，为后续渗透重点目标

3.2.5 扫描结果深度分析

从完整扫描日志中可提取更多渗透关键信息：

1. 操作系统识别

OS details: Linux 5.4 – 6.6
OS CPE: cpe:/o:linux:linux\\_kernel:5

目标运行 Linux 内核，版本范围 5.4 至 6.6，符合 Vulhub Docker 容器特征。

2. HTTP 服务指纹

http-server-header: Apache/2.4.38 (Debian)
http-title: 首页 – ThinkPHP V5.0

确认 8080 端口运行 ThinkPHP 5.0 框架，可针对性测试 ThinkPHP 相关漏洞（如 5.0.23 RCE）。

3. 扫描统计

Nmap done: 1 IP address (1 host up) scanned in 20.68 seconds

单台主机深度扫描耗时约 20 秒，效率较高。

3.2.6 进阶：自定义扫描命令

除内置模板外，可直接在 Command 框输入自定义参数，满足特定场景需求。

场景一：指定端口扫描

仅扫描 Web 相关端口，加快速度：

nmap -T4 -p 80,443,8080,8081 -v 192.168.200.131

场景二：全端口扫描

扫描 1-65535 全部端口，确保无遗漏：

nmap -T4 -p- -v 192.168.200.131

场景三：漏洞脚本扫描

使用 Nmap 脚本引擎（NSE）探测常见漏洞：

nmap -T4 –script=vuln -v 192.168.200.131

场景四：绕过防火墙

目标禁 ping 时，跳过存活检测直接扫描：

nmap -T4 -A -Pn -v 192.168.200.131

3.2.7 小结

Nmap 是信息收集阶段的核心工具，掌握以下要点即可满足大部分渗透场景：

完成 Nmap 端口扫描后，通常需结合目录扫描工具（如 dirsearch）进一步探测 Web 应用路径，为漏洞验证做准备。

总结

本章系统讲解了网络层信息收集的三大核心模块：TTL 操作系统识别、CDN 绕过与真实 IP 获取、Nmap 全端口深度扫描。 通过 C 段旁站探测与端口服务识别，可全面掌握目标网络资产分布，为后续漏洞利用提供精准攻击面。 完成网络层探测后，下一阶段将进入 Web 应用层，深入指纹识别、目录扫描与 WAF 绕过等内容。

⚠️ 声明